丁明麗，王海瑞

0 引言

在過去幾十年中，軟件可靠性研究主要集中在對黑盒模型上，把軟件系統(tǒng)看成一個(gè)整體只建模它與外界環(huán)境之間的交互，而不考慮它的內(nèi)部結(jié)構(gòu)。Hamlet[1]，Horgan[2]等指出了這種黑盒方法的缺點(diǎn)，包括它們只能應(yīng)用于軟件生命周期的后期，忽略了組成系統(tǒng)的構(gòu)件的測試以及可靠性信息，沒有考慮軟件的體系結(jié)構(gòu)，因此需要實(shí)現(xiàn)在軟件應(yīng)用生命周期早期考慮應(yīng)用體系結(jié)構(gòu)以及組成構(gòu)件的測試和可靠性信息來預(yù)測應(yīng)用的可靠性。

Goseva-Popstojanova[3]等把目前提出的基于體系結(jié)構(gòu)模型分為 3 類：基于狀態(tài)的模型，基于路徑的模型和可加模型。本文構(gòu)建了基于體系結(jié)構(gòu)的軟件可靠性模型的統(tǒng)一框架，用來實(shí)現(xiàn)對基于體系結(jié)構(gòu)的 3 類模型的分析比較。在上述 3 類模型中，基于狀態(tài)的模型提出最早也研究最多，是目前提出模型種類最多的一類模型。本文建立的框架也是以基于狀態(tài)的模型為核心結(jié)合其他兩類模型。

1 基于體系結(jié)構(gòu)的軟件可靠性模型

使用基于體系結(jié)構(gòu)的方法進(jìn)行可靠性分析，需要如下2個(gè)方面的特征信息：

（1）應(yīng)用的體系結(jié)構(gòu)：

應(yīng)用的體系結(jié)構(gòu)表示軟件中不同構(gòu)件之間的交互方式，通常用構(gòu)件之間的轉(zhuǎn)移概率（由軟件的運(yùn)行剖面決定）表示。體系結(jié)構(gòu)也可包括每個(gè)構(gòu)件的執(zhí)行時(shí)間信息（均值，方差，分布）?；跔顟B(tài)的模型中，應(yīng)用的體系結(jié)構(gòu)可建模為離散時(shí)間馬爾可夫鏈（DTMC），連續(xù)時(shí)間馬爾可夫鏈（CTMC）或半馬爾可夫過程（SMP）。它們可進(jìn)一步分為不可約的和吸收的，前者表示持續(xù)運(yùn)行的應(yīng)用，后者表示終止應(yīng)用。任意時(shí)刻應(yīng)用的狀態(tài)由在該時(shí)刻執(zhí)行的構(gòu)件表示，狀態(tài)轉(zhuǎn)移表示構(gòu)件之間的控制轉(zhuǎn)移。基于路徑的模型建模應(yīng)用的體系結(jié)構(gòu)為軟件中所有可能的執(zhí)行路徑以及路徑的執(zhí)行概率?？杉幽Ｐ筒豢紤]應(yīng)用的體系結(jié)構(gòu)。

（2）構(gòu)件的失效行為：

基于狀態(tài)的模型中，構(gòu)件的失效行為可以采用3種方法建模：構(gòu)件的可靠度，常量失效率，時(shí)間依賴的失效強(qiáng)度。假設(shè)構(gòu)件失效之間相互獨(dú)立，構(gòu)件的可靠度為構(gòu)件在一次執(zhí)行過程中不發(fā)生失效的概率，不管構(gòu)件是單獨(dú)執(zhí)行還是處于應(yīng)用的上下文中執(zhí)行。時(shí)間依賴的失效強(qiáng)度是某類軟件可靠性增長模型的失效強(qiáng)度。根據(jù)三種失效模型結(jié)合信息的詳細(xì)程度和生成可靠性預(yù)測的準(zhǔn)確度，可以把它們排列成一個(gè)等級。當(dāng)用可靠度建模構(gòu)件的失效行為時(shí)，得到的應(yīng)用可靠性估計(jì)的準(zhǔn)確性最低。用常量失效率建模失效行為比前一種情況能提高可靠性預(yù)測的準(zhǔn)確度，因?yàn)檫@種方法考慮了應(yīng)用一次典型運(yùn)行中構(gòu)件被多次訪問的總的執(zhí)行時(shí)間。用時(shí)間依賴的失效強(qiáng)度來建模構(gòu)件失效行為時(shí)能生成最準(zhǔn)確的可靠性預(yù)測，因?yàn)樗紤]了構(gòu)件的測試及使用特征?；诼窂降哪Ｐ褪褂脴?gòu)件的可靠度或路徑的可靠度來描述失效行為，可加模型使用時(shí)間依賴的失效強(qiáng)度來表示構(gòu)件的失效行為。

將體系結(jié)構(gòu)模型與構(gòu)件的失效模型結(jié)合起來，計(jì)算得出應(yīng)用可靠性估計(jì)值的方法為基于體系結(jié)構(gòu)的模型的求解方法?；跔顟B(tài)的模型的求解方法包括兩種：組合方法和等級方法。組合方法將應(yīng)用的體系結(jié)構(gòu)模型和構(gòu)件的失效模型組合到一個(gè)模型中，然后對這個(gè)組合模型進(jìn)行分析求解來預(yù)測應(yīng)用的可靠性。等級方法先求解體系結(jié)構(gòu)模型，然后將構(gòu)件的失效行為加到體系結(jié)構(gòu)模型的求解結(jié)果上，從而來預(yù)測應(yīng)用的可靠性。給定應(yīng)用的體系結(jié)構(gòu)模型和構(gòu)件的失效模型，組合方法能生成可靠性估計(jì)的精確值，而等級方法只能生成近似值。但是組合方法并不能應(yīng)用于體系結(jié)構(gòu)模型和構(gòu)件的失效模型的各種組合中，只有當(dāng)組合后的模型與原始的體系結(jié)構(gòu)模型的類型一致時(shí)，組合方法才能使用?；诼窂降哪Ｐ秃涂杉幽Ｐ投贾挥幸环N求解方法。

2 統(tǒng)一框架

我們以基于狀態(tài)的模型為核心建立基于體系結(jié)構(gòu)的軟件可靠性模型的統(tǒng)一框架。根據(jù)基于體系結(jié)構(gòu)的模型的三要素：體系結(jié)構(gòu)模型，構(gòu)件失效模型，求解方法，對所有基于的狀態(tài)模型的分類如表1所示。如果對應(yīng)的模型存在，則在表格中標(biāo)明了我們對模型自定義的名稱，如果模型有文獻(xiàn)出處也進(jìn)行了標(biāo)注；如果模型不存在，用“×”表示。

表1 基于狀態(tài)的模型

下面針對具體的軟件應(yīng)用對表1中的基于狀態(tài)的模型進(jìn)行討論，與基于路徑的模型和可加模型進(jìn)行比較分析，建立基于體系結(jié)構(gòu)的模型的統(tǒng)一框架。對將用到一些符號注釋如表2所示。

表2 符號注釋

2.1 終止應(yīng)用

對于終止應(yīng)用，可靠性度量為應(yīng)用一次典型執(zhí)行的可靠度。終止應(yīng)用的體系結(jié)構(gòu)可建模為吸收的Markov模型。由表1可以看出，對于終止應(yīng)用，相關(guān)文獻(xiàn)中建模應(yīng)用的體系結(jié)構(gòu)為吸收DTMC。原因是用吸收CTMC或吸收SMP建模時(shí)，在求解過程中也是利用它們內(nèi)嵌的DTMC進(jìn)行求解的。對于硬件系統(tǒng)來說，認(rèn)為所有構(gòu)件處于持續(xù)激活狀態(tài)，因此系統(tǒng)可靠性可以表示為

而對于軟件系統(tǒng)來說，構(gòu)件在調(diào)用時(shí)執(zhí)行，一個(gè)關(guān)鍵問題是考慮應(yīng)用執(zhí)行過程中構(gòu)件的使用情況。對吸收 DTMC進(jìn)行分析，可以得到應(yīng)用一次典型執(zhí)行過程中訪問每個(gè)構(gòu)件次數(shù)的期望值Vi。Vi表示終止應(yīng)用執(zhí)行過程中構(gòu)件的使用情況。當(dāng)使用不同的構(gòu)件失效模型，得到應(yīng)用一次典型執(zhí)行過程中構(gòu)件的等價(jià)可靠度以及整個(gè)應(yīng)用的可靠度如表3所示。

表3 終止應(yīng)用可靠性分析

表3中的模型采用的求解方法為等級方法。DTMC-1模型使用的是組合方法，組合模型由應(yīng)用的體系結(jié)構(gòu)模型和組成軟件應(yīng)用的構(gòu)件的失效模型組成。模型的轉(zhuǎn)移概率矩陣構(gòu)造過程如下：加入2個(gè)吸收狀態(tài)C和F，分別表示正確輸出和失效；修改轉(zhuǎn)移概率矩陣P，將構(gòu)件i和j之間的原始轉(zhuǎn)移概率Pij修改為RjPij，表示構(gòu)件i正確執(zhí)行后控制轉(zhuǎn)移到j(luò)的概率；從出口狀態(tài)n添加有向邊到C，轉(zhuǎn)移概率為Rn，表示應(yīng)用正確執(zhí)行完成；從構(gòu)件i添加有向邊到狀態(tài)F，轉(zhuǎn)移概率為(1-Ri)，表示構(gòu)件失效過程。因此，軟件應(yīng)用的組合模型為由轉(zhuǎn)移概率矩陣?P定義的DTMC。應(yīng)用的可靠度為到達(dá)該DTMC吸收狀態(tài)C的概率。設(shè)Q為刪除吸收狀態(tài)C和F所對應(yīng)的行列后得到的矩陣。表示經(jīng)過k步轉(zhuǎn)移從初始狀態(tài)1到達(dá)終止?fàn)顟B(tài)n的概率。從初始狀態(tài)1到終止?fàn)顟B(tài)n的轉(zhuǎn)移步數(shù)k可以取0到無窮大之間的任何值。定義變量S為

因此得到整個(gè)軟件系統(tǒng)的可靠性為

下面將基于路徑的模型與DTMC-1相比較。Shooman[12]提出最早的基于路徑的模型。它與基于狀態(tài)的模型的區(qū)別在于將軟件的體系結(jié)構(gòu)模型和構(gòu)件的失效模型結(jié)合的方法不同，即求解方法不同，基于路徑的方法中，體系結(jié)構(gòu)模型假設(shè)已知系統(tǒng)所有的執(zhí)行路徑以及每條路徑的執(zhí)行概率失效模型為構(gòu)件可靠度Ri或路徑可靠度采用基于路徑的方法得到系統(tǒng)的可靠度為：

公式(3)中，0k＜＜∞，模型DTMC-1考慮了無數(shù)條路徑存在的情況。而基于路徑的模型，當(dāng)系統(tǒng)中存在的路徑數(shù)目有限時(shí)，模型可以得到可靠性估計(jì)的準(zhǔn)確值，此時(shí)當(dāng)系統(tǒng)中存在環(huán)路而有無數(shù)條路徑時(shí)，基于路徑的方法只能得到可靠性估計(jì)的近似值，此時(shí)，這是基于路徑方法的主要缺點(diǎn)。至此，我們已經(jīng)完成將基于路徑的模型統(tǒng)一到基于體系結(jié)構(gòu)的軟件可靠性模型的統(tǒng)一框架中。

2.2 持續(xù)運(yùn)行的軟件應(yīng)用

對于持續(xù)運(yùn)行的軟件應(yīng)用，可靠性度量為軟件在穩(wěn)定運(yùn)行狀態(tài)下的可靠性，存在3種形式：軟件應(yīng)用的可靠度，常量失效率，依賴于時(shí)間的失效強(qiáng)度。持續(xù)運(yùn)行的軟件應(yīng)用的體系結(jié)構(gòu)可建模為不可約的Markov模型。當(dāng)每次訪問構(gòu)件的時(shí)間滿足指數(shù)分布時(shí)，用 CTMC建模，否則用 SMP或DTMC建模。假設(shè)構(gòu)件失效速率遠(yuǎn)遠(yuǎn)小于構(gòu)件之間的轉(zhuǎn)移速率，因此失效發(fā)生前系統(tǒng)能夠運(yùn)行達(dá)到一個(gè)穩(wěn)定狀態(tài)。對體系結(jié)構(gòu)模型求解可以得到每個(gè)構(gòu)件的穩(wěn)態(tài)概率πi。πi表示連續(xù)運(yùn)行的軟件應(yīng)用執(zhí)行過程中構(gòu)件的使用情況，表示無失效發(fā)生時(shí)應(yīng)用在狀態(tài)i的平均執(zhí)行時(shí)間比例。對于硬件系統(tǒng)來說，πi=1。當(dāng)使用不同的構(gòu)件失效模型時(shí)，得到相應(yīng)的應(yīng)用可靠性模型不同，如表4所示。

表4 持續(xù)運(yùn)行的軟件應(yīng)用的可靠性分析

表4中的模型DTMC-8，CTMC-8，SMP-12，在目前的基于體系結(jié)構(gòu)的軟件可靠性分析的文獻(xiàn)中還沒有出現(xiàn)過?，F(xiàn)存的基于狀態(tài)的模型得到的應(yīng)用可靠性度量是軟件結(jié)構(gòu)的函數(shù)，是一個(gè)單一的估計(jì)值，而不是一系列隨時(shí)間變化的預(yù)測值，有兩種形式：軟件應(yīng)用的可靠度和常量失效率?；跔顟B(tài)的模型的這種“定?！碧匦詿o法解決軟件測試過程中的故障排除問題。模型 DTMC-8，CTMC-8，SMP-12解決了這個(gè)問題，它們得到的可靠性度量是時(shí)間依賴的失效強(qiáng)度。它們建立了應(yīng)用的軟件可靠性增長模型，提高了可靠性預(yù)測的準(zhǔn)確度。這3種模型就是在統(tǒng)一可加模型過程中對可加模型進(jìn)行改進(jìn)的結(jié)果。

目前提出的可加模型包括兩種：Xie模型[13] 和Everett模型[14] ?？杉幽Ｐ涂紤]的是軟件測試階段，假設(shè)每個(gè)構(gòu)件的失效過程可建模為非齊次泊松過程（non-homogeneous Poisson process, NHPP）。如果構(gòu)件失效過程為NHPP，那么整個(gè)系統(tǒng)的失效過程也為NHPP，系統(tǒng)失效強(qiáng)度函數(shù)和累計(jì)失效數(shù)目為每個(gè)構(gòu)件相應(yīng)函數(shù)的總和，即

公式(6)，(7)為Xie模型的表示。Xie模型中為了考慮不同構(gòu)件加入系統(tǒng)的時(shí)間，對每個(gè)構(gòu)件失效模型中相應(yīng)的函數(shù)時(shí)間進(jìn)行調(diào)整。Xie模型沒有考慮軟件體系結(jié)構(gòu)，也就是沒有考慮應(yīng)用執(zhí)行過程中每個(gè)構(gòu)件的使用情況。

Everett模型，如公式(8)，(9)所示，其中ti表示應(yīng)用執(zhí)行過程中構(gòu)件i的累積執(zhí)行時(shí)間。Everett模型在Xie模型的基礎(chǔ)上有所改進(jìn)，它包含了關(guān)于每個(gè)構(gòu)件的相對工作負(fù)載信息作為模型參數(shù)。它使用測試過程中得到的每個(gè)構(gòu)件累計(jì)執(zhí)行時(shí)間來計(jì)算構(gòu)件的累計(jì)失效數(shù)目和失效強(qiáng)度函數(shù)。因此，這個(gè)模型考慮了軟件構(gòu)件的使用情況但沒有實(shí)現(xiàn)建模，也就是隱式地考慮了軟件的體系結(jié)構(gòu)。

與現(xiàn)有的模型不同的是，可加模型得到的可靠性度量是時(shí)間依賴的失效強(qiáng)度，是時(shí)間域的函數(shù)，而不僅僅是一個(gè)單一的估計(jì)值?？杉幽Ｐ褪腔隗w系結(jié)構(gòu)的軟件可靠性分析領(lǐng)域中的創(chuàng)新性嘗試。它們第一次嘗試將已經(jīng)研究成熟的軟件可靠性增長模型應(yīng)用于基于體系結(jié)構(gòu)的軟件可靠性分析中。但是可加模型沒有實(shí)現(xiàn)黑盒模型和白盒模型（指基于狀態(tài)和基于路徑的模型）的真正結(jié)合，因?yàn)樗鼈儧]有實(shí)現(xiàn)對軟件體系結(jié)構(gòu)的建模。

基于狀態(tài)的模型中體系結(jié)構(gòu)模型的求解結(jié)果πi表示無失效發(fā)生時(shí)構(gòu)件i的平均執(zhí)行時(shí)間比例?；讦衖，Everett模型中的ti可以表示為ti=πit。這樣公式（8）和（9）可轉(zhuǎn)換為

改進(jìn)后的可加模型的系統(tǒng)失效強(qiáng)度函數(shù)和累計(jì)失效數(shù)目函數(shù)。在基于狀態(tài)的模型的基礎(chǔ)上實(shí)現(xiàn)了對可加模型的改進(jìn)，同時(shí)完成了體系結(jié)構(gòu)模型的框架對可加模型的統(tǒng)一。

3 舉例說明

本節(jié)對第三節(jié)介紹的基于體系結(jié)構(gòu)的軟件可靠性模型的統(tǒng)一框架進(jìn)行舉例說明。使用文獻(xiàn)[10] 中介紹的應(yīng)用作為本節(jié)的運(yùn)行實(shí)例。該應(yīng)用提供一個(gè)面向語言的用戶界面，允許用戶來描述天線陣列的配置。目的是給定用適當(dāng)陣列定義語言描述的天線陣列配置，生成滿足預(yù)定義的格式和用戶特征的一個(gè)數(shù)據(jù)文件。該應(yīng)用是為歐洲航天局開發(fā)，分為三個(gè)構(gòu)件：Parser，Computational，F(xiàn)ormatting。通過對源代碼分析得到應(yīng)用的體系結(jié)構(gòu)如圖1所示。構(gòu)件E表示應(yīng)用的終止?fàn)顟B(tài)。構(gòu)件之間的轉(zhuǎn)移概率如表5所示。通過故障注入測試估計(jì)每個(gè)構(gòu)件的可靠性，用UNIX實(shí)用時(shí)鐘測量每次訪問每個(gè)構(gòu)件時(shí)執(zhí)行時(shí)間的期望值ti，結(jié)果如表6所示。CTMC模型中離開狀態(tài)i的速率ui可以通過ti來計(jì)算，即

圖1 吸收DTMC體系結(jié)構(gòu)模型

表5 構(gòu)件之間轉(zhuǎn)移概率

為了說明構(gòu)件失效行為建模為常量失效率的模型，利用構(gòu)件可靠度Ri和每次訪問構(gòu)件i時(shí)執(zhí)行時(shí)間的期望值ti，根據(jù)如下公式，計(jì)算構(gòu)件的常量失效率iλ為

根據(jù)公式(13)計(jì)算得出的構(gòu)件1，2，3的常量失效率如表6所示。

表6 構(gòu)件失效行為和期望執(zhí)行時(shí)間

為了說明構(gòu)件失效行為建模為時(shí)間依賴失效強(qiáng)度的模型，假設(shè)用G-O模型[15] 建模每個(gè)構(gòu)件的

可靠性增長過程，失效強(qiáng)度表示為 ：

上式中ai表示無限長時(shí)間內(nèi)從構(gòu)件i檢測到故障數(shù)的期望值，bi表示每個(gè)故障的失效發(fā)生率。為了對這兩個(gè)參數(shù)進(jìn)行估計(jì)，在構(gòu)件 1和 2中分別重新插入兩個(gè)故障，構(gòu)件 3無故障。這樣a1和a2的值為 2，a3的值為 0。基于ai和ti利用如下公式計(jì)算

根據(jù)公式(15)得到構(gòu)件1，2的bi分別為0.0045，0.0146，b3為0。構(gòu)件失效強(qiáng)度函數(shù)如表6。

首先討論終止應(yīng)用。應(yīng)用的體系結(jié)構(gòu)建模為吸收DTMC，如圖1所示。采用等級分析方法，當(dāng)構(gòu)件失效模型為可靠度時(shí)，即DTMC-2，得到應(yīng)用的可靠度為0.6740；當(dāng)構(gòu)件失效模型為常量失效率時(shí)，即DTMC-3，得到應(yīng)用的可靠度為0.6740；當(dāng)構(gòu)件失效模型為時(shí)間依賴的失效強(qiáng)度時(shí)，即DTMC-4，得到應(yīng)用的可靠度為0.6740。采用組合分析方法，當(dāng)構(gòu)件失效模型為可靠度時(shí)，即DTMC-1，它的組合模型如圖2所示，計(jì)算得到的應(yīng)用的可靠度為0.6874。以上計(jì)算結(jié)果是通過MATLAB計(jì)算得到的。

圖2 模型DTMC-1的組合模型

圖3 不可約的DTMC體系結(jié)構(gòu)模型

為了說明連續(xù)運(yùn)行的軟件應(yīng)用，增加從狀態(tài)E到狀態(tài)1的轉(zhuǎn)移，轉(zhuǎn)移概率連續(xù)運(yùn)行的應(yīng)用體系結(jié)構(gòu)模型建模為不可約的 DTMC，如圖 3所示。采用等級分析方法，當(dāng)構(gòu)件失效模型為可靠度時(shí)，即DTMC-6，得到應(yīng)用的可靠度為0.8966；當(dāng)構(gòu)件失效模型為常量失效率時(shí)，即DTMC-7，得到應(yīng)用的常量失效率為0.0110；當(dāng)構(gòu)件失效模型為時(shí)間依賴的失效強(qiáng)度時(shí)，即DTMC-8，得到應(yīng)用的時(shí)間依賴的失效強(qiáng)度為

連續(xù)運(yùn)行的應(yīng)用的體系結(jié)構(gòu)模型建模為不可約的CTMC，如圖4所示。設(shè)轉(zhuǎn)移速率uE為100/msec。采用等級分析方法，當(dāng)構(gòu)件失效模型為可靠度時(shí)，即CTMC-5，得到應(yīng)用的可靠度為 0.9011；當(dāng)構(gòu)件失效模型為常量失效率時(shí)，即CTMC-7，得到應(yīng)用的常量失效率為0.0078；當(dāng)構(gòu)件失效模型為時(shí)間依賴的失效強(qiáng)度時(shí)，即CTMC-8，得到應(yīng)用的時(shí)間依賴的失效強(qiáng)度為

圖4 不可約的CTMC體系結(jié)構(gòu)模型

4 結(jié)論

本文提出了基于體系結(jié)構(gòu)的軟件可靠性模型的統(tǒng)一框架?？蚣芤曰跔顟B(tài)的模型為核心，通過與基于路徑的模型和可加模型進(jìn)行比較，將這兩類模型結(jié)合進(jìn)框架中，實(shí)現(xiàn)了所有基于體系結(jié)構(gòu)的模型的統(tǒng)一。我們也詳細(xì)討論了框架中每類模型的輸入?yún)?shù)和輸出，以及如何在軟件生命周期中的不同階段對模型進(jìn)行選取。

統(tǒng)一框架的建立系統(tǒng)化了當(dāng)前提出的所有基于體系結(jié)構(gòu)的軟件可靠性模型，是對目前基于體系結(jié)構(gòu)的軟件可靠性分析研究工作的階段性總結(jié)，并在此基礎(chǔ)上進(jìn)行了延伸。它有利于今后基于體系結(jié)構(gòu)的軟件可靠性研究工作有針對性地進(jìn)一步展開，拉近了可靠性模型研究與用戶實(shí)際應(yīng)用之間的距離。

[1] Hamlet D. “Are we testing for true reliability?,” IEEE Software, vol. 13, no. 4, pp. 21–27, July 1992.

[2] Horgan J R and Mathur A P, “Software testing and reliability,” in Handbook of Software Reliability Engineering, M R Lyu, Ed. New York: McGraw-Hill,1996, pp. 531–566.

[3] Goseva-Popstojanova K and K Trivedi S.“Architecturebased approach to reliability assessment of software systems,” Performance Evaluation, vol. 45, no. 2–3, June 2001.

[4] S Gokhale S and Trivedi K S. “Analytical Models for Architecture-Based Software Reliability Prediction: A Unification Framework,” in IEEE Transaction on Reliabiltiy, Vol. 55, No. 4, December 2006, pp. 578-590.

[5] Cheung R C.“A user-oriented software reliability model,”IEEE Trans. Software Engineering, vol. SE-6, no. 2, pp.118–125, March 1980.

[6] Goseva-Popstojanova K,Mathur A P,and Trivedi K S.“Comparison of architecture-based software reliability models,” in Proc. of Intl. Symposium on Software Reliability Engineering, Hong Kong, November 2001.

[7] Gokhale S, Wong W E, Trivedi K S, and Horgan J R. “An analytic approach to architecture-based software reliability prediction,” in Proc. of Intl. Performance and Dependability Symposium (IPDS 98), Durham, NC,September 1998, pp. 13–22.

[8] Laprie J C and Kanoun K.“Software reliability and system reliability,” in Handbook of Software Reliability Engineering, M. R. Lyu, Ed. New York: McGraw-Hill,1996, pp. 27–69.

[9] Ledoux J and Rubino G. “A counting model for software reliability analysis,” IASTED Journal on Simulation,1997.

[10] Littlewood B. “Software reliability model for modular program structure”, IEEE Transaction on Reliability, 28(3)(1979):241～246.

[11] Kubat P, “Assessing reliability of modular software,”O(jiān)perations Research Letters, vol. 8, no. 35–41, 1989.

[12] Shooman M L. “Structural models for software reliability prediction,” in Proc. 2nd Int’l Conf. Software Engineering,San Francisco, CA, October 1976, pp. 268–280.

[13] Xie M and Wohlin C. “An additive reliability model for the analysis of modular software failure data,” in Proc.Sixth Intl. Symposium on Software Reliability Engineering, Tolouse, France, October 1995, pp. 188–193.

[14] Everett W.Software component reliability analysis, in:Proceedings of the Symposium on Application-specific systems and software Engineering Technology(ASSET’99), 1999, pp: 204～211.

[15] Goel A L and Okumoto K. “Time-dependent errordetection rate models for software reliability and other performance measures,” IEEE Trans. Reliability, vol. R-28,no. 3, pp. 206–211, August 1979.